Het zou een flauwe mop kunnen zijn: hoe krijg je een systeembeheerder zover om zijn of haar wachtwoord prijs te geven? Boots op een gehackte computer een storing na, waardoor de gebruiker de IT-helpdesk belt. Om deze nepstoring te verhelpen voert de helpdeskmedewerker een beheerderswachtwoord in, daarbij gadegeslagen door de indringer.

Geen mop dus, legt cybersecurityexpert Frank Groenewegen van Fox-IT uit, maar één van de trucs die hackers toepassen als ze zich een weg banen in bedrijfsnetwerken: van de ene computer naar de andere springend, op zoek naar de cruciale plek die toegang biedt tot alle netwerkonderdelen. Om vanaf daar in één handomdraai een complete organisatie te gijzelen. Dat overkwam de Maastricht University vorige maand: net voor de kerstvakantie bleken alle belangrijke bestanden versleuteld en servers geblokkeerd. Inmiddels werken de systemen weer. De universiteit wil berichten dat er tonnen aan losgeld betaald is niet bevestigen. Fox-IT doet ook geen mededelingen over de specifieke hack in Maastricht omdat het bedrijf de aanval nog onderzoekt.

De hack van de universiteit is een voorbeeld van ransomware. Deze vorm van criminaliteit is uitgegroeid tot professioneel maatwerk. Het begon als eenworm die in theorie elke computer kon treffen. Berucht is de uitbraak van WannaCry in 2017. Een variant daarop was NotPetya – een worm, vermomd als ransomware die zich automatisch een weg baande in bedrijfsnetwerken en zo bijvoorbeeld transportbedrijf Maersk platlegde.

Na deze lukrake aanvallen ontdekten cybercriminelen dat er veel te verdienen is aan gerichte ransomware-aanvallen. Hun aanpak lijkt op de manier waarop geavanceerde inbrekers – ethische hackers of spionnen – netwerken penetreren.

Ze kijken waar ze toegang kunnen krijgen en hun slag kunnen slaan. Liefst bij grote bedrijven omdat daar veel geld te verdienen is

Frank Groenewegen Fox-IT

NRC sprak met experts van Fox-IT, KPN Security, NFIR en het Nationaal Cyber Security Centrum over ‘big game hunting’, zoals cybercriminelen hun werk noemen. Het is jagen op groot wild. „Ze kijken waar ze toegang kunnen krijgen en hun slag kunnen slaan. Liefst bij grote bedrijven omdat daar veel geld te verdienen is”, zegt Groenewegen.

Hoewel groepen van cybercriminelen elk hun eigen modus operandi en favoriete gereedschappen hebben, zijn er overeenkomsten in hun aanpak. De eerste fases van de hack gaan grotendeels geautomatiseerd, daarna wordt overgeschakeld op handwerk. Dat vergt kennis en geduld. Groenewegen: „We hebben gezien dat hackers zich langer dan een half jaar verscholen om zeker te zijn dat alle backups gesaboteerd waren.” Dan zit er voor het slachtoffer maar één ding op: betalen.

Een tactisch feestje

Hoe hack je een netwerk? Je kunt de aanpak vergelijken met iemand die als nieuweling op een feestje binnenkomt. Je kent er niemand, maar ziet wel dat het leukste gezelschap zich helemaal aan de andere kant van het feest bevindt, in een aparte ruimte. Om daar binnen te komen, moet je eerst kennismaken met andere feestgangers en hun vertrouwen winnen.

Een manier om de tactiek in kaart te brengen is het aanvalsschema van mitre.org: twaalf verschillende stappen die ook ethische hackers doorlopen om te testen hoe robuust een netwerk is. Dit is een vereenvoudigde samenvatting. In de praktijk worden de stappen vaak gecombineerd of herhaald.